.webp)
Passkey kini semakin populer dan dianggap sebagai alternatif yang lebih aman dibandingkan kata sandi tradisional. Namun, celah keamanan mulai terlihat setelah sekelompok peneliti keamanan siber berhasil menembus sistem passkey berbasis Chrome milik Google menggunakan metode serangan yang mereka sebut Pass-ta-key.
Meskipun passkey telah terbukti tangguh karena menghilangkan kebutuhan kata sandi dan menggantinya dengan tanda tangan biometrik pada perangkat yang diautentikasi, tim peneliti dari Unit 42 menemukan beberapa kelemahan tersembunyi di Google Password Manager. Kelemahan ini memungkinkan peretas untuk memanipulasi titik akhir dan mengelabui situs web agar mengira passkey berbasis Chrome milik pengguna adalah asli, padahal sudah dibajak.
Syarat utama dari serangan ini adalah mesin Windows korban harus sudah terinfeksi oleh malware. Komputer yang bersih tidak akan rentan saat passkey digunakan. Namun, peneliti menemukan bahwa perangkat lunak berbahaya dapat menyerang passkey pada tahap autentikasi, bahkan jika kunci tersebut pada awalnya dibuat di perangkat yang sehat.
SCROLL TO CONTINUE WITH CONTENT
Tiga varian serangan Pass-ta-key
Laporan dari Unit 42 merinci tiga jalur serangan yang mengeksploitasi sistem ini secara bertahap:
Pertama adalah metode Pass-ta-key dasar. Serangan ini melibatkan pengambilalihan akun menggunakan malware di perangkat. Kunci identitas diekspor ke disk alih-alih menggunakan hardware pelindung TPM yang biasanya mengamankan kunci tersebut.
Malware kemudian melakukan autentikasi dengan Google Password Manager tanpa persetujuan pengguna. Peneliti mencatat metode pertama ini hanya berfungsi pada situs seperti eBay karena situs tersebut tidak memvalidasi bendera yang menyatakan apakah proses verifikasi pengguna benar-benar terjadi.
Metode kedua disebut Silver Pass-ta-key. Serangan ini selangkah lebih maju dengan menipu pengelola kata sandi agar menganggap pengguna telah membuka kunci perangkat menggunakan biometrik. Mesin Windows yang terinfeksi dibuat tetap dalam kondisi tertunda, di mana proses verifikasi pengguna tidak ditandai sebagai selesai. Dalam status tersebut, malware dapat mulai mendaftarkan kuncinya sendiri, sehingga setiap kunci dari peretas di masa mendatang akan disetujui.
Metode ketiga dan yang paling berbahaya adalah Golden Pass-ta-key. Serangan ini menargetkan proses enkripsi yang dikenal sebagai Security Domain Secret (SDS). Meskipun Google telah berupaya menghapusnya, informasi rahasia ini masih tertinggal dan terekspos di memori proses Chrome. Malware dapat mencuri data tersebut dan mengumpulkan seluruh database passkey pengguna yang disinkronkan.
Serangan terakhir ini sangat fatal karena SDS yang dicuri bertindak sebagai cetak biru. Artinya, setiap passkey yang dibuat di masa mendatang melalui Google Password Manager dapat dengan mudah didekripsi oleh peretas, kecuali pengguna menghasilkan SDS yang baru.
Kelompok peneliti Unit 42 telah menghubungi Google untuk melaporkan eksploitasi yang ditemukan, dan mencatat bahwa penyedia layanan lain yang menggunakan model autentikator cloud serupa mungkin menghadapi risiko yang sama.
Meskipun temuan ini mengejutkan, passkey pada dasarnya tidak menjadi kurang aman. Teknologi ini masih berhasil memotong sebagian besar kerentanan yang sering ditinggalkan oleh kata sandi konvensional. Hanya saja, kelemahan pada proses onboarding dan sistem memori Chrome membuktikan bahwa sistem ini masih rentan terhadap eksploitasi jika perangkat keras pengguna sudah disusupi oleh malware, demikian dikutip detikINET dari 9to5Google, Kamis (6/8/2026).
